Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2024-01978

Опубликовано: 08 мар. 2024
Источник: fstec
CVSS3: 6.8
CVSS2: 6.8
EPSS Низкий

Описание

Уязвимость функции deserialize() JavaScript-библиотеки для криптографии Jwcrypto связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании путем передачи специально созданного токена JWE

Вендор

Сообщество свободного программного обеспечения
ООО «Ред Софт»
АО «НТЦ ИТ РОСА»
ООО «РусБИТех-Астра»

Наименование ПО

Debian GNU/Linux
РЕД ОС
ROSA Virtualization
Jwcrypto
Astra Linux Special Edition
ROSA Virtualization 3.0

Версия ПО

11 (Debian GNU/Linux)
12 (Debian GNU/Linux)
7.3 (РЕД ОС)
2.1 (ROSA Virtualization)
до 1.5.6 (Jwcrypto)
1.8 (Astra Linux Special Edition)
3.0 (ROSA Virtualization 3.0)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 11
Сообщество свободного программного обеспечения Debian GNU/Linux 12
ООО «Ред Софт» РЕД ОС 7.3
АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8
АО «НТЦ ИТ РОСА» ROSA Virtualization 3.0 3.0

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,8)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Jwcryptot:
https://github.com/latchset/jwcrypto/security/advisories/GHSA-j857-7rvv-vj97
https://github.com/latchset/jwcrypto
https://github.com/latchset/jwcrypto/commit/90477a3b6e73da69740e00b8161f53fea19b831f
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2024-28102
Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2024-2498
Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2770
Для ОС Astra Linux:
обновить пакет python-jwcrypto до 1.1.0-1+deb12u1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0411SE18

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 29%
0.00103
Низкий

6.8 Medium

CVSS3

6.8 Medium

CVSS2

Связанные уязвимости

CVSS3: 6.8
redos
9 месяцев назад

Уязвимость python3-jwcrypto

CVSS3: 6.8
ubuntu
больше 1 года назад

JWCrypto implements JWK, JWS, and JWE specifications using python-cryptography. Prior to version 1.5.6, an attacker can cause a denial of service attack by passing in a malicious JWE Token with a high compression ratio. When the server processes this token, it will consume a lot of memory and processing time. Version 1.5.6 fixes this vulnerability by limiting the maximum token length.

CVSS3: 6.8
redhat
больше 1 года назад

JWCrypto implements JWK, JWS, and JWE specifications using python-cryptography. Prior to version 1.5.6, an attacker can cause a denial of service attack by passing in a malicious JWE Token with a high compression ratio. When the server processes this token, it will consume a lot of memory and processing time. Version 1.5.6 fixes this vulnerability by limiting the maximum token length.

CVSS3: 6.8
nvd
больше 1 года назад

JWCrypto implements JWK, JWS, and JWE specifications using python-cryptography. Prior to version 1.5.6, an attacker can cause a denial of service attack by passing in a malicious JWE Token with a high compression ratio. When the server processes this token, it will consume a lot of memory and processing time. Version 1.5.6 fixes this vulnerability by limiting the maximum token length.

CVSS3: 6.8
debian
больше 1 года назад

JWCrypto implements JWK, JWS, and JWE specifications using python-cryp ...

EPSS

Процентиль: 29%
0.00103
Низкий

6.8 Medium

CVSS3

6.8 Medium

CVSS2